lastampa.it, 14 settembre 2026
Revolut ingannata da false richieste governative: consegnati i dati sensibili dei clienti
Non è stato necessario violare i sistemi di Revolut per avere accesso ai dati più sensibili conservati dalla banca digitale. È bastato presentarsi come un’autorità pubblica, utilizzando però un indirizzo appartenente realmente al dominio email di un ente governativo. Revolut ha confermato di aver comunicato informazioni personali e finanziarie di alcuni clienti a una terza parte non autorizzata, dopo aver ricevuto richieste fraudolente che apparivano provenire da un’agenzia governativa. La società ha definito l’episodio un “sofisticato attacco esterno di impersonificazione”. In altri termini, un caso di phishing molto ben realizzato.
La particolarità dell’incidente è proprio il modo in cui è avvenuto. Non si sarebbe trattato di un semplice indirizzo contraffatto o di un dominio costruito per assomigliare a quello di un’amministrazione pubblica. Secondo la comunicazione inviata da Revolut ai clienti coinvolti, la richiesta sarebbe partita da un account email non autorizzato creato direttamente all’interno dell’infrastruttura del dominio ufficiale di un ente governativo e dotato di credenziali di autenticazione valide. Revolut avrebbe quindi fornito le informazioni ritenendo che la richiesta provenisse realmente dall’autorità.
Non è stato reso noto quale fosse l’ente pubblico coinvolto, né in quale Paese si trovi. Non è chiaro neppure in che modo l’autore dell’attacco sia riuscito a ottenere o creare un account all’interno del dominio dell’agenzia.
I dati consegnati
I dati consegnati sono particolarmente delicati. Secondo le notifiche inviate agli utenti e le informazioni riportate dalle testate che hanno ricostruito il caso, possono comprendere nome e cognome, data di nascita, indirizzo postale, email, numero di telefono e copie dei documenti utilizzati per verificare l’identità, tra cui passaporto e patente. In alcuni casi sarebbero stati esposti anche i selfie utilizzati durante la verifica dell’identità, gli estratti conto e la cronologia delle transazioni. Tra i dati potenzialmente trasmessi anche IBAN, registrazioni dei prelievi e cronologie complete delle operazioni, comprese quelle relative a Bitcoin. Tra le persone che hanno dichiarato pubblicamente di aver ricevuto l’avviso c’è Mark Karpelès, ex amministratore delegato dell’exchange di criptovalute Mt. Gox, che ha diffuso parte della comunicazione ricevuta via mail.
I sistemi di Revolut non sono stati violati
Una volta individuato il problema, Revolut afferma di aver bloccato l’indirizzo utilizzato per le richieste e di aver informato l’agenzia governativa interessata, le forze dell’ordine, le autorità per la protezione dei dati e i regolatori finanziari. “I sistemi Revolut e i fondi dei clienti non sono stati coinvolti”, ha precisato un portavoce della società. In base alle informazioni disponibili, non ci sono indicazioni che gli aggressori siano penetrati nell’infrastruttura informatica della fintech o abbiano avuto accesso diretto ai conti.
Revolut non ha identificato l’agenzia governativa il cui dominio è stato utilizzato e non ha spiegato quanto tempo sia trascorso tra la consegna dei dati e la scoperta della frode. Non è inoltre noto se lo stesso account governativo sia stato utilizzato per inviare richieste analoghe ad altre banche o società finanziarie.
Cinque milioni di clienti in Italia
La società non ha comunicato nemmeno quanti clienti siano stati coinvolti, limitandosi a parlare di un numero “limitato”. Non è stato chiarito, poi, se le persone interessate appartengano tutte allo stesso Paese o se tra loro ci siano clienti italiani. Un dettaglio particolarmente rilevante per l’Italia, dove Revolut ha raggiunto 5 milioni di clienti, dopo essere passata dai 3 milioni di gennaio 2025 ai 4 milioni di settembre dello stesso anno. La crescita di Revolut in Italia si inserisce in una fase di forte espansione della fintech, che ha attualmente circa 80 milioni di clienti nel mondo e nei giorni scorsi ha ottenuto l’approvazione condizionata dell’Office of the Comptroller of the Currency per creare una banca nazionale negli Stati Uniti.
Le email provenivano dal vero dominio di un ente pubblico. Tra le informazioni esposte documenti d’identità, selfie, IBAN e cronologia delle transazioni. Non è noto se siano coinvolti clienti italiani.